統合

手順

1. RHACS ポータルで、Platform Configuration → Integrations に移動します。
2. Image Integrations セクションで、Generic Docker Registry を選択します。
3. New integration をクリックします。

4. 以下のフィールドに詳細を記入します。

   1. Integration name: インテグレーションの名前。
   2. Endpoint: レジストリーのアドレス。
   3. UsernameとPassword
5. レジストリーへの接続時に TLS 証明書を使用していない場合は、Disable TLS certificate validation (insecure) を選択します。
6. レジストリーへの接続をテストせずに統合を作成する場合は、Create integration without testing を選択します。
7. Test を選択して、選択したレジストリーとの統合が機能していることをテストします。
8. Save を選択します。

手順

1. RHACS ポータルで、Platform Configuration → Integrations に移動します。
2. Image Integrations セクションで Amazon ECR を選択します。
3. New integration をクリックするか、自動生成されたインテグレーションのいずれかをクリックして開き、Edit をクリックします。

4. 以下のフィールドの詳細を入力または変更します。

   1. Update stored credentials: アクセスキーやパスワードなどのクレデンシャルを更新せずにインテグレーションを変更する場合には、このボックスをクリアします。
   2. Integration name: インテグレーションの名前。
   3. Registry ID: レジストリーの ID。
   4. Endpoint: レジストリーのアドレス。このフィールドは、AssumeRole オプションが選択されている場合には有効ではありません。
   5. Region: レジストリーのリージョン (例: us-west-1)。
5. IAM を使用している場合は、Use Container IAM role を選択します。それ以外の場合は、Use Container IAM role ボックスの選択を解除し、アクセス Access key ID および Secret access key を入力します。

6. AssumeRole 認証を使用している場合は、Use AssumeRole を選択し、以下のフィールドの詳細を入力します。

   1. AssumeRole ID: 引き受けるロールの ID。
   2. AssumeRole External ID (オプション): AssumeRole で外部 ID を使用している場合は、ここに入力できます。
7. レジストリーへの接続をテストせずに統合を作成する場合は、Create integration without testing を選択します。
8. Test を選択して、選択したレジストリーとの統合が機能していることをテストします。
9. Save を選択します。

手順

1. RHACS ポータルで、Platform Configuration → Integrations に移動します。
2. Image Integrations セクションで、Google Container Registry を選択します。
3. New integration をクリックします。

4. 以下のフィールドに詳細を記入します。

   1. Integration name: インテグレーションの名前。
   2. Type: Registry を選択します。
   3. Registry Endpoint: レジストリーのアドレス。
   4. Project: Google Cloud プロジェクト名。
   5. Service account key (JSON) 認証に使用するサービスアカウントキー。
5. レジストリーへの接続をテストせずに統合を作成する場合は、Create integration without testing を選択します。
6. Test を選択して、選択したレジストリーとの統合が機能していることをテストします。
7. Save を選択します。

手順

1. RHACS ポータルで、Platform Configuration → Integrations に移動します。
2. Image Integrations セクションで、Google Artifact Registry を選択します。
3. New integration をクリックします。

4. 以下のフィールドに詳細を記入します。

   1. Integration name: インテグレーションの名前。
   2. Registry endpoint: レジストリーのアドレス。
   3. Project: Google Cloud プロジェクト名。
   4. Service account key (JSON) 認証に使用するサービスアカウントキー。
5. レジストリーへの接続をテストせずに統合を作成する場合は、Create integration without testing を選択します。
6. Test を選択して、選択したレジストリーとの統合が機能していることをテストします。
7. Save を選択します。

手順

1. RHACS ポータルで、Platform Configuration → Integrations に移動します。
2. Image Integrations セクションで Microsoft Azure Container Registry を選択します。
3. New integration をクリックします。

4. 以下のフィールドに詳細を記入します。

   1. Integration name: インテグレーションの名前。
   2. Endpoint: レジストリーのアドレス。
   3. UsernameとPassword
5. レジストリーへの接続をテストせずに統合を作成する場合は、Create integration without testing を選択します。
6. Test を選択して、選択したレジストリーとの統合が機能していることをテストします。
7. Save を選択します。

手順

1. RHACS ポータルで、Platform Configuration → Integrations に移動します。
2. Image Integrations セクションで、JFrog Artifactory を選択します。
3. New integration をクリックします。

4. 以下のフィールドに詳細を記入します。

   1. Integration name: インテグレーションの名前。
   2. Endpoint: レジストリーのアドレス。
   3. UsernameとPassword
5. レジストリーへの接続時に TLS 証明書を使用していない場合は、Disable TLS certificate validation (insecure) を選択します。
6. レジストリーへの接続をテストせずに統合を作成する場合は、Create integration without testing を選択します。
7. Test を選択して、選択したレジストリーとの統合が機能していることをテストします。
8. Save を選択します。

手順

1. RHACS ポータルで、Platform Configuration → Integrations に移動します。
2. Image Integrations セクションで、Docker Trusted Registry を選択します。
3. New integration をクリックします。

4. 以下のフィールドに詳細を記入します。

   1. Integration name: インテグレーションの名前。
   2. Type: Registry を選択します。
   3. Endpoint: レジストリーのアドレス。
   4. UsernameとPassword
5. レジストリーへの接続時に TLS 証明書を使用していない場合は、Disable TLS certificate validation (insecure) を選択します。
6. レジストリーへの接続をテストせずに統合を作成する場合は、Create integration without testing を選択します。
7. Test を選択して、選択したレジストリーとの統合が機能していることをテストします。
8. Save を選択します。

手順

1. RHACS ポータルで、Platform Configuration → Integrations に移動します。
2. Image Integrations セクションで Red Hat Quay.io を選択します。
3. New integration をクリックします。

4. 以下のフィールドに詳細を記入します。

   1. Integration name: インテグレーションの名前。
   2. Type: Registry を選択します。
   3. Endpoint: レジストリーのアドレス。
   4. OAuth トークン
5. レジストリーへの接続時に TLS 証明書を使用していない場合は、Disable TLS certificate validation (insecure) を選択します。
6. レジストリーへの接続をテストせずに統合を作成する場合は、Create integration without testing を選択します。
7. Test を選択して、選択したレジストリーとの統合が機能していることをテストします。
8. Save を選択します。

手順

1. RHACS ポータルで、Platform Configuration → Integrations に移動します。
2. Image Integrations セクションで、IBM Cloud Container Registry を選択します。
3. New integration をクリックします。

4. 以下のフィールドに詳細を記入します。

   1. Integration name: インテグレーションの名前。
   2. Endpoint: レジストリーのアドレス。
   3. API key.
5. Test を選択して、選択したレジストリーとの統合が機能していることをテストします。
6. Save を選択します。

手順

1. RHACS ポータルで、Platform Configuration → Integrations に移動します。
2. Image Integrations セクションで Red Hat Registry を選択します。
3. New integration をクリックします。

4. 以下のフィールドに詳細を記入します。

   1. Integration name: インテグレーションの名前。
   2. Endpoint: レジストリーのアドレス。
   3. UsernameとPassword
5. レジストリーへの接続をテストせずに統合を作成する場合は、Create integration without testing を選択します。
6. Test を選択して、選択したレジストリーとの統合が機能していることをテストします。
7. Save を選択します。

手順

1. RHACS ポータルで、Platform Configuration → Policies に移動します。
2. グローバル検索を使用して、Lifecycle Stage:Build を検索します。

手順

1. RHACS ポータルで、Platform Configuration → Policies に移動します。
2. + New Policy をクリックします。
3. ポリシーの Name を入力します。
4. ポリシーの Severity レベルを選択します: クリティカル、高、中、または低。

5. Build、Deploy、または Runtime から、ポリシーが適用される Lifecycle Stages を選択します。複数のステージを選択できます。

   注記

   CI システムと統合するための新しいポリシーを作成する場合は、ライフサイクルステージとして Build を選択します。

   • ビルド時ポリシーは、CVE や Dockerfile 手順などのイメージフィールドに適用されます。
   • デプロイ時のポリシーには、すべてのビルド時のポリシー基準を含めることができます。また、特権モードでの実行や Docker デーモンソケットのマウントなど、クラスター設定からのデータを取得することもできます。
   • ランタイムポリシーには、すべてのビルド時とデプロイ時のポリシー基準、およびランタイム中のプロセス実行に関するデータを含めることができます。
6. Description、Rationale、および Remediation フィールドにポリシーに関する情報を入力します。CI がビルドを検証すると、これらのフィールドのデータが表示されます。したがって、ポリシーを説明するすべての情報を含めてください。
7. Categories ドロップダウンメニューからカテゴリーを選択します。

8. このポリシーの違反が発生したときにアラート通知を受信する通知ドロップダウンメニューから Notifications 機能を選択します。

   注記

   アラート通知を受信するには、Red Hat Advanced Cluster Security for Kubernetes を Webhook、Jira、PagerDuty などの通知プロバイダーと統合する必要があります。通知機能は、通知プロバイダーを Red Hat Advanced Cluster Security for Kubernetes と統合した場合にのみ表示されます。

9. 特定のクラスター、namespace、またはラベルに対してのみこのポリシーを有効にするには、Restrict to Scope を使用します。複数のスコープを追加したり、namespaces とラベルの RE2 構文で正規表現を使用したりすることもできます。
10. Exclude by Scope を使用して、デプロイメント、クラスター、namespaces、およびラベルを除外します。このフィールドは、指定したエンティティーにポリシーが適用されないことを示します。複数のスコープを追加したり、namespaces とラベルの RE2 構文で正規表現を使用したりすることもできます。ただし、デプロイメントの選択に正規表現を使用することはできません。

11. 除外されたイメージ (ビルドライフサイクルのみ) の場合、ポリシーの違反をトリガーしたくないすべてのイメージをリストから選択します。

    注記

    除外されたイメージ (ビルドライフサイクルのみ) 設定は、継続的インテグレーションシステム (ビルドライフサイクルステージ) でイメージをチェックする場合にのみ適用されます。このポリシーを使用して、実行中のデプロイメント (デプロイライフサイクルステージ) またはランタイムアクティビティー (ランタイムライフサイクルステージ) をチェックする場合、効果はありません。

12. Policy Criteria セクションで、ポリシーをトリガーする属性を設定します。
13. パネルヘッダーで Next を選択します。
14. 新しいポリシーパネルには、ポリシーを有効にした場合にトリガーされる違反のプレビューが表示されます。
15. パネルヘッダーで Next を選択します。

16. ポリシーの適用動作を選択します。適用設定は、Lifecycle Stages オプションで選択したステージでのみ使用できます。ポリシーを適用して違反を報告するには、ON を選択します。違反のみを報告するには、OFF を選択します。

    注記

    適用の振る舞いは、ライフサイクルの各ステージで異なります。

    • Build ステージでは、イメージがポリシーの条件に一致すると、Red Hat Advanced Cluster Security for Kubernetes は CI ビルドに失敗します。
    • Deploy ステージでは、Red Hat Advanced Cluster Security for Kubernetes は、ポリシーの条件に一致するデプロイの作成をブロックします。アドミッションコントローラーが適用されているクラスターでは、Kubernetes または OpenShift Container Platform サーバーがすべての非準拠のデプロイメントをブロックします。他のクラスターでは、Red Hat Advanced Cluster Security for Kubernetes が非準拠のデプロイメントを編集して、Pod がスケジュールされないようにします。
    • Runtime ステージでは、Red Hat Advanced Cluster Security for Kubernetes はポリシーの条件に一致するすべての Pod を停止します。
    警告

    ポリシーの適用は、実行中のアプリケーションまたは開発プロセスに影響を与える可能性があります。適用オプションを有効にする前に、すべての利害関係者に通知し、自動適用アクションに対応する方法を計画してください。

手順

1. RHACS ポータルで、Platform Configuration → Integrations に移動します。
2. Image Integration セクションで、強調表示された Registry タイルを探します。タイルには、そのタイルにすでに設定されているアイテムの数も表示されます。

手順

1. RHACS ポータルに移動します。
2. Platform Configuration → Integrations に移動します。
3. Authentication Tokens カテゴリーまで下にスクロールし、API Token をクリックします。
4. Generate Token をクリックします。
5. トークンの名前を入力し、必要なレベルのアクセスを提供するロールを選択します (たとえば、Continuous Integration または Sensor Creator)。

6. Generate をクリックします。

   重要

   生成されたトークンをコピーして安全に保存します。再度表示することはできません。

手順

1. registry.redhat.io レジストリーにログインします。

   $ docker login registry.redhat.io

2. roxctl CLI の最新のコンテナーイメージをプルします。

   $ docker pull registry.redhat.io/advanced-cluster-security/rhacs-roxctl-rhel8:3.70.2

手順

1. CircleCI にログインして、既存のプロジェクトを開くか、新しいプロジェクトを作成します。
2. Project Settings をクリックします。
3. Environment variables をクリックします。

4. 変数の Add variable をクリックして、次の 3 つの環境変数を作成します。

   • Name: STACKROX_CENTRAL_HOST - Central の DNS 名または IP アドレス。
   • Name: ROX_API_TOKEN - Red Hat Advanced Cluster Security for Kubernetes にアクセスするための API トークン。
   • Name: DOCKERHUB_PASSWORD - Docker Hub アカウントのパスワード。
   • Name: DOCKERHUB_USER - Docker Hub アカウントのユーザー名。
5. CircleCI 設定ファイルがまだない場合は、選択したプロジェクトのローカルコードリポジトリーのルートディレクトリーに .circleci というディレクトリーを作成します。

6. .circleci ディレクトリーの次の行に config.yml 設定ファイルを作成します。

   version: 2
   jobs:
     check-policy-compliance:
       docker:
         - image: 'circleci/node:latest'
           auth:
             username: $DOCKERHUB_USER
             password: $DOCKERHUB_PASSWORD
       steps:
         - checkout
         - run:
             name: Install roxctl
             command: |
                 curl -H "Authorization: Bearer $ROX_API_TOKEN" https://$STACKROX_CENTRAL_HOST:443/api/cli/download/roxctl-linux -o roxctl && chmod +x ./roxctl
         - run:
             name: Scan images for policy deviations and vulnerabilities
             command: |
                 ./roxctl image check --endpoint "$STACKROX_CENTRAL_HOST:443" --image "<your_registry/repo/image_name>" 1
         - run:
             name: Scan deployment files for policy deviations
             command: |
                 ./roxctl image check --endpoint "$STACKROX_CENTRAL_HOST:443" --image "<your_deployment_file>" 2
                 # Important note: This step assumes the YAML file you'd like to test is located in the project.
   workflows:
     version: 2
     build_and_test:
       jobs:
         - check-policy-compliance

   1

   <your_registry/repo/image_name> をレジストリーとイメージパスに置き換えます。

   2

   <your_deployment_file> をデプロイメントファイルへのパスに置き換えます。

   注記

   リポジトリーに CircleCI の config.yml ファイルがすでにある場合は、既存の設定ファイルに指定された詳細を含む新しいジョブセクションを追加します。

7. 設定ファイルをリポジトリーにコミットした後、CircleCI ダッシュボードの Jobs キューに移動して、ビルドポリシーの適用を確認します。

手順

1. 受信 Webhook を設定した後、デプロイメント YAML ファイルに次のようなアノテーションを追加します。

   example.com/slack-webhook: https://hooks.slack.com/services/T00000000/B00000000/XXXXXXXXXXXXXXXXXXXXXXXX

2. Red Hat Advanced Cluster Security for Kubernetes を設定するときは、Label/Annotation Key For Slack Webhook フィールドでアノテーションキー example.com/slack-webhook を使用します。

手順

1. RHACS ポータルで、Platform Configuration → Integrations に移動します。
2. External backups セクションで、Google Cloud Storage をクリックします。
3. バックアップを実行する GCS バケットの統合名を選択します。
4. Trigger Backup をクリックします。

手順

1. Splunk ダッシュボードで、Settings → Add Data に移動します。
2. Monitor をクリックします。
3. Add Data ページで、HTTP Event Collector をクリックします。
4. イベントコレクターの Name を入力し、Next > をクリックします。
5. デフォルトの Input Settings を受け入れて、Review > をクリックします。
6. イベントコレクターのプロパティーを確認し、Submit > をクリックします。
7. イベントコレクターの Token Value をコピーします。このトークン値は、Red Hat Advanced Cluster Security for Kubernetes で Splunk との統合を設定するために必要です。

手順

1. RHACS ポータルで、Platform Configuration → Integrations に移動します。
2. Notifier Integrations セクションまでスクロールダウンし、Splunk を選択します。
3. New Integration (add アイコン) をクリックします。
4. Integration Name の名前を入力します。
5. SplunkURL を HTTP Event Collector URL フィールドに入力します。HTTPS の場合は 443、HTTP の場合は 80 でない場合は、ポート番号を指定する必要があります。また、URL の最後に URL パス /services/collector/event を追加する必要があります。たとえば、https://<splunk-server-path>:8088/services/collector/event です。

6. HTTP Event Collector Token フィールドにトークンを入力します。

   注記

   Red Hat Advanced Cluster Security for Kubernetes バージョン 3.0.57 以降を使用している場合は Source Type for Alert イベントと Source Type for Audit イベントのソースタイプを指定できます。

7. Test (checkmark アイコン) を選択してテストメッセージを送信し、Splunk との統合が機能していることを確認します。
8. Create (save アイコン) を選択して、設定を作成します。

手順

1. RHACS ポータルで、Platform Configuration → Policies に移動します。
2. アラートの送信先となるポリシーを 1 つ以上選択します。
3. Bulk actions で Enable notification を選択します。

4. Enable notification ウィンドウで、Splunk notifier を選択します。

   注記

   他の統合を設定していない場合、システムは通知機能が設定されていないメッセージが表示します。

5. Enable をクリックします。

手順

1. StackRox Kubernetes Security Platform アドオンを Splunkbase からダウンロードします。
2. Splunk インスタンスの Splunk ホームページに移動します。
3. Apps → Manage Apps に移動します。
4. Install app from file を選択します。
5. Upload app ポップアップボックスで、Choose File を選択し、StackRox Kubernetes Security Platform アドオンファイルを選択します。
6. アップロード をクリックします。
7. Restart Splunk をクリックし、再起動することを確認します。
8. Splunk が再起動したら、Apps メニューから StackRox を選択します。
9. Create New Input をクリックします。
10. StackRox Compliance を選択してコンプライアンスデータをプルするか、StackRox Vulnerability Management を選択して脆弱性データを Splunk にプルします。
11. 入力の Name を入力します。
12. Red Hat Advanced Cluster Security for Kubernetes からデータをプルする Interval を選択します。たとえば、14400 秒ごと。
13. データの送信先となる Splunk Index を選択します。
14. Central Endpoint には、セントラルインスタンスの IP アドレスまたは名前を入力します。
15. アドオン用に生成した API token を入力します。
16. Add をクリックします。

手順

1. デプロイ YAML ファイルに次のようなアノテーションを追加します。

   jira/project-key: <jira_project_key>

2. Red Hat Advanced Cluster Security for KubernetesCluster Security を設定するときは、Annotation Key For Project フィールドでアノテーションキー jira/project-key を使用します。

手順

1. Red Hat Advanced Cluster Security for Kubernetes で Jira 統合を設定しているときに、Priority Mapping トグルをオンにします。Red Hat Advanced Cluster Security for Kubernetes は JIRA プロジェクトスキーマを取得し、CRITICAL_SEVERITY、HIGH_SEVERITY、MEDIUM_SEVERITY、および LOW_SEVERITY フィールドの値を自動入力します。
2. JIRA プロジェクト設定に基づいて、プライオリティーの値を確認または更新します。
3. Test (checkmark アイコン) を選択して、Jira との統合が機能していることをテストします。
4. Create (save アイコン) を選択して、設定を作成します。